安全性功能可防止威脅，包括電話身分和資料受到的威脅。這些功能在電話與Cisco Unified Communications Manager 伺服器之間建立和維護經過驗證的通訊串流，並確保電話僅使用經過數位簽署的檔案。

Cisco Unified Communications Manager 8.5(1) 版及更高版本預設包括「安全性」，可為Cisco IP電話提供以下安全性功能，而無需執行CTL用戶端：

• 簽署電話組配置檔案

• 電話組態檔加密

• 使用 HTTPS 與 Tomcat 和其他 Web 服務

在Cisco Unified Communications Manager 系統中實施安全性可防止電話和Cisco Unified Communications Manager 伺服器的身分被盜，防止資料被竄改，並防止通話訊號和媒體資料流竄改。

為了減輕這些威脅， Cisco IP 電話技術網路在電話與伺服器之間建立並維護安全（加密）通訊串流，在檔案傳送至電話之前對檔案進行數位簽署，以及加密Cisco IP電話之間的媒體串流和通話訊號。

執行與憑證授權單位代理功能 (CAPF ) 關聯的必要工作後，電話上會安裝本端重要憑證 ( LSC )。您可以使用Cisco Unified Communications Manager 管理來設定LSC，如《 Cisco Unified Communications Manager安全性指南》中所述。此外，您還可以從電話上的「安全性」設定功能表起始LSC的安裝。此功能表還允許您更新或移除LSC。

LSC不能用作EAP-TLS的使用者憑證與WLAN驗證。

電話使用電話安全設定檔，該設定檔定義裝置是不安全的還是安全的。有關將安全性設定檔套用至電話的資訊，請參閱您所在的特定Cisco Unified Communications Manager版本的文件。

如果您在Cisco Unified Communications Manager 管理中設定安全性相關設定，則電話組態檔包含敏感資訊。若要確保組態檔的私密性，您必須對其進行加密設定。有關詳細資訊，請參閱您所在的特定Cisco Unified Communications Manager版本的文件。

電話符合聯邦資訊處理標準 (FIPS)。若要正常運作，FIPS 模式需要 2048 位元或更大的金鑰大小。如果憑證小於 2048 位元，電話將不會向Cisco Unified Communications Manager註冊和電話註冊失敗。憑證金鑰大小不符合 FIPS 標準 會在電話上顯示。

如果電話具有LSC，則您需要在啟用 FIPS 之前將LSC金鑰大小更新為 2048 位元或更大。

下表提供了電話支援的安全性功能的概觀。如需相關資訊，請參閱您所在的特定Cisco Unified Communications Manager版本的文件。

若要檢視安全性模式，請按設定 並導覽至網路和服務 >安全性設定。

下表包含信任清單更新警報訊息及含義。如需相關資訊，請參閱Cisco Unified Communications Manager文件。

「安全性設定」功能表提供各種安全性設定的相關資訊。此功能表還提供對信任清單功能表的存取權，並顯示電話上是否安裝了CTL或 ITL 檔案。

下表說明「安全性設定」功能表中的選項。

Cisco IP電話支援 802.1X 驗證。

Cisco IP電話和Cisco Catalyst 交換器傳統上使用Cisco Discovery Protocol(CDP) 來識別彼此並確定VLAN分配和接線電源需求等參數。CDP無法識別本地連接的工作站。Cisco IP電話提供 EAPOL 傳遞機制。此機制可讓連接至Cisco IP 電話的工作站將 EAPOL 訊息傳遞至 LAN 交換器上的 802.1X 驗證工具。傳遞機制可確保IP 電話在存取網路之前不會充當 LAN 交換器來驗證資料端點。

Cisco IP電話還提供了 Proxy EAPOL 登出機制。如果本地連接的PC與IP 電話中斷連線，則 LAN 交換器不會看到實體鏈結髮生故障，因為 LAN 交換器與IP 電話之間的鏈結會保留。為了避免影響網路的完整性， IP 電話會代表下游PC向交換器傳送 EAPOL 登出訊息，這會觸發 LAN 交換器清除下游PC的驗證項目。

支援802.1X 驗證需要多個元件：

• Cisco IP 電話：電話會起始存取網路的請求。Cisco IP電話包含 802.1X 請求者。此要求允許網路管理員控制IP電話與 LAN 交換器連接埠的連接。目前版本的電話 802.1X 要求使用EAP-FAST和EAP-TLS選項進行網路驗證。

• 驗證伺服器：驗證伺服器和交換器必須同時使用驗證電話的共用密碼配置。

• 切換：交換器必須支援 802.1X，才能充當驗證工具並在電話與驗證伺服器之間傳遞訊息。交換完成後，交換器會授予或拒絕電話存取網路的權限。

您必須執行下列動作來設定 802.1X。

• 在電話上啟用 802.1X 驗證之前，請設定其他元件。

• 設定PC埠：802.1X 標準不考慮 VLAN，因此建議針對特定交換器連接埠只應驗證單一裝置。但是，有些交換器支援多網域驗證。交換器組態決定您是否可將PC連接到電話的PC 連接埠。

  • 啟用：如果您使用的交換器支援多網域驗證，您可以啟用PC 連接埠並將PC連接到它。在此情況下， Cisco IP電話支援 Proxy EAPOL 登出，以監控交換器與連線的PC之間的驗證交換。

    如需Cisco Catalyst 交換器上 IEEE 802.1X 支援的相關資訊，請參閱Cisco Catalyst 交換器組態指南，網址為：

    http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • 停用：若交換器在同一個連接埠上不支援多個 802.1X 相容裝置，您應該在啟用802.1X 驗證時停用PC連接埠。如果您不停用此連接埠然後嘗試將PC連接到它，交換器會拒絕對電話和PC進行網路存取。

• 設定語音VLAN：因為 802.1X 標準不考慮 VLAN，所以您應根據交換器的支援來配置此設定。
  • 啟用：如果您使用的交換器支援多網域驗證，則可讓它繼續使用語音 VLAN。
  • 停用：如果交換器不支援多網域驗證，請停用語音VLAN並考慮將連接埠指定給原生VLAN。
• （僅適用於Cisco Desk Phone 9800 系列）

  Cisco Desk Phone 9800 系列的 PID 字首與其他Cisco電話的字首不同。若要讓您的電話能夠通過802.1X 驗證，請設定半徑·使用者名稱 參數以包括您的Cisco Desk Phone 9800 系列。

  例如，電話 9841 的 PID 為 DP-9841；您可以設定半徑·使用者名稱 至從 DP 開始 或包含 DP 。您可以在以下兩個部分中設定：

  • 政策 >條件 >圖書館條件

  • 政策 >策略集 >授權原則 >授權規則 1

當電話實現安全性時，您可以透過電話螢幕上的圖示 識別安全電話呼叫。您還可以在通話開始時播放安全音調時判斷所連線的電話是否安全及受保護。

在安全通話中，所有通話訊號和媒體串流都會加密。安全通話可提供高級別的安全性，從而確保通話的完整性和私密性。當進行撥入被加密時，您可以看到安全圖示 線上。對於安全電話，您還可以檢視已驗證的圖示 或加密的圖示 在電話功能表中（設定 >關於此裝置)。

在安全通話中，在通話開始時播放安全鈴聲，以表示另一部連線的電話也在接收和傳送安全音訊。如果您的呼叫連線至不安全的電話，則不會播放安全音。

當電話在Cisco Unified Communications Manager中設定為安全（加密且受信任）時，可以獲得受保護 狀態。此後，可根據需要將受保護的電話配置為在開始通話時播放指示音：

• 受保護的裝置：若要將安全電話的狀態變更為受保護，請勾選Cisco Unified Communications Manager 管理中的「電話組態」視窗中的受保護裝置勾選方塊（裝置 >電話)。

• 播放安全指示音：若要讓受保護的電話播放安全或非安全指示音，請將播放安全指示音設定為 True。預設情況下，播放安全指示音會設定為 False。您可以在Cisco Unified Communications Manager 管理（系統 >服務參數)。選取伺服器，然後選取 Unified Communications Manager 服務。在服務參數組態視窗中，選取功能 - 安全提示音區域中的選項。預設值為 False。

因為範圍內的所有WLAN裝置都可以接收所有其他WLAN流量，所以在無線局域網中保護語音通訊至關重要。為了確保入侵者不會操控或攔截語音流量， Cisco SAFE 安全性架構支援電話。如需有關網路安全性的更多資訊，請參閱 http://www.cisco.com/en/US/netsol/ns744/networking_solutions_program_home.html.

Cisco無線IP 電話技術解決方案使用電話支援的下列驗證方法來提供無線網路安全性，可防止未經授權的登入和通訊遭破壞：

• 開放式驗證：任何無線裝置都可以在開放系統中請求驗證。接收到請求的 AP 可以將驗證授予任何請求者，或僅授予在使用者清單中找到的請求者。無線裝置與存取點 (AP) 之間的通訊可能未加密。

• 可擴展驗證通訊協定 - 透過安全通道 (EAP-FAST) 驗證進行靈活驗證：此用戶端-伺服器安全性架構會加密 AP 與 RADIUS 伺服器之間的傳輸層安全性 ( TLS ) 通道內的EAP交易，例如身分服務引擎 (ISE) 。

  TLS通道使用受保護的存取認證 (PAC) 在用戶端（電話）與 RADIUS 伺服器之間進行驗證。伺服器將授權ID (AID) 傳送至用戶端（電話），然後選擇適當的 PAC。用戶端（電話）向 RADIUS 伺服器返回 PAC 不透明。伺服器會使用主金鑰解密 PAC。兩個端點現在都包含 PAC 金鑰，且建立TLS通道。EAP-FAST支援自動 PAC 佈建，但您必須在 RADIUS 伺服器上啟用它。

  在 ISE 中，預設情況下，PAC 會在一周後過期。如果電話的 PAC 過期，則在電話獲取新的 PAC 時，使用 RADIUS 伺服器進行驗證需要更長的時間。若要避免 PAC 佈建延遲，請在 ISE 或 RADIUS 伺服器上將 PAC 到期期間設定為 90 天或更長。

• 可擴展驗證通訊協定 -傳輸層安全性性 (EAP-TLS) 驗證：EAP-TLS需要用戶用戶端憑證進行驗證和網路存取。對於無線EAP-TLS，用戶用戶端憑證可以是MIC、 LSC或使用者安裝的憑證。

• 受保護的可擴展驗證通訊協定 (PEAP) ：用戶端（電話）和 RADIUS 伺服器之間的Cisco專有的基於密碼的相互驗證方案。電話可以使用PEAP透過無線網路進行驗證。支援PEAP-MSCHAPV2 和PEAP-GTC 驗證方法。

• 預共用金鑰 (PSK) ：電話支援ASCII格式。設定WPA/WPA2/SAE 預共用金鑰時，您必須使用此格式：

  ASCII ：長度為 8 到 63 個字元（0-9、小寫和大寫 AZ 以及特殊字元）的ASCII字串

  範例：Greg123567@9ZX&W

下列驗證方案使用 RADIUS 伺服器來管理驗證金鑰：

• WPA/WPA2/WPA3：使用 RADIUS 伺服器資訊來產生唯一金鑰以用於驗證。因為這些金鑰是在集中式 RADIUS 伺服器上產生，所以 WPA2/WPA3 可提供比儲存在 AP 和電話上的WPA預共用金鑰更高的安全性。

• 快速安全漫遊：使用 RADIUS 伺服器和無線網域伺服器 (WDS) 資訊來管理和驗證金鑰。WDS 會為啟用 FT 的用戶端裝置建立安全憑證緩存，以實現快速、安全的重新驗證。Cisco桌面電話 9861 和 9871 與Cisco視訊電話 8875 支援 802.11r (FT)。支援透過空氣和透過 DS ，以實現快速安全漫遊。但我們強烈建議使用 802.11 r (FT) 的無線方式。

使用WPA/WPA2/WPA3，不會在電話上輸入加密金鑰，而是在 AP 與電話之間自動派生加密金鑰。但是必須在每部電話上輸入用於驗證的EAP使用者名稱和密碼。

為了確保語音流量安全，電話支援 TKIP 和AES進行加密。當這些機制用於加密時，訊號SIP封包和語音即時傳輸協議 (RTP) 封包都會在 AP 與電話之間加密。

TKIP

WPA使用的 TKIP 加密，與WEP相比有幾處改進。TKIP 提供了每個封包的金鑰加密以及更長的初始化向量 (IV) 來加強加密。此外，訊息完整性檢查 (MIC) 可確保加密的封包不被變更。TKIP 移除了WEP的可預測性，該可協助入侵者解密WEP 金鑰。

AES

用於 WPA2/WPA3 驗證的加密方法。這個國家加密標準使用對稱算法，該算法具有相同的加密和解密金鑰。AES使用 128 位元大小的密碼區塊鏈 (CBC) 加密，它至少支援 128 位元、192 位元和 256 位元的金鑰大小。電話支援的金鑰大小為 256 位元。

驗證和加密方案在無線 LAN中"安裝;設定"。VLAN 會在網路中和 AP 上配置，並指定驗證和加密的不同組合。SSID與VLAN及特定的驗證和加密方案相關聯。要成功驗證的無線用戶端裝置，您必須在 AP 和電話上為驗證和加密方案設定相同的 SSID。

某些驗證方案需要特定類型的加密。

下表中的驗證和加密方案顯示了與 AP 組態相對應的電話的網路組態選項。

確保服務SIP(AS- SIP) 是為Cisco IP電話和第三方電話提供高度安全性通話流程的功能和協議的集合。下列功能統稱為 AS- SIP：

• 多級優先和先佔 (MLPP)
• 區分服務代碼點 (DSCP)
• 傳輸層安全性性 (TLS) 和安全即時傳輸協議 (SRTP)
• 網際網路通訊協定版本 6 (IPv6)

SIP通常與多級優先與先佔 (MLPP) 搭配使用，以在緊急情況下確定通話的優先順序。使用MLPP，您可以為撥出的通話指定優先級別，從第 1 級（低）到第 5 級（高）。接到來電時，電話上會顯示一個優先層級圖示，以說明通話優先順序。

若要設定 AS- SIP，請在Cisco Unified Communications Manager上完成下列任務：

• 設定摘要使用者 — 設定一般使用者以對SIP請求使用摘要式驗證。
• 設定SIP電話安全連接埠 — Cisco Unified Communications Manager使用此連接埠來接聽SIP電話，以透過TLS進行SIP線路註冊。
• 重新啟動服務 — 配置安全連接埠後，重新啟動Cisco Unified Communications Manager和Cisco CTL提供者服務。設定 AS- SIP的SIP設定SIP 設定檔- 使用您的 AS- SIP端點和SIP主幹的SIP設定來設定 SIP 設定檔。電話特定參數不會下載至第三方 AS- SIP 電話。它們僅供Cisco Unified Manager 使用。第三方電話必須在本地設定相同的設定。
• 配置 AS- SIP的電話安全性設定檔 — 您可以使用電話安全設定檔來指派安全性設定，例如TLS、 SRTP和摘要式驗證。
• 設定 AS- SIP端點 — 設定Cisco IP 電話或第三方端點與 AS- SIP支援。
• 將裝置與最終使用者關聯 — 將端點與使用者關聯。
• 設定 AS- SIP的 SIPSIP 中繼線安全性設定檔連線安全性設定檔 — 您可以使用 SIP 主干連線安全性設定檔將安全性功能（例如TLS或摘要式驗證）指派給SIP trunk。
• 設定 AS- SIP的SIP SIP trunk — 設定具有 AS- SIP支援的 SIP trunk。
• 設定 AS- SIP功能 — 設定其他 AS- SIP功能，例如MLPP、 TLS、 V.150 和IPv6。

有關設定 AS- SIP的詳細資訊，請SIPCisco Unified Communications Manager功能設定指南。

當在電話上設定了強制授權代碼 (FAC) 或用戶端代碼 (CMC) 或兩者時，使用者必須輸入必要的密碼才能撥出號碼。

如需如何在Cisco Unified Communications Manager中"安裝;設定"FAC和CMC的相關資訊，請參閱用戶端代碼和強制授權代碼」 中的章節Cisco Unified Communications Manager 12.5(1) 版或更高版本的功能設定指南。